简介
Codex Security Scan 把安全评审塞进了最自然的那个时机——提 PR 的时候。
传统流程里，安全扫描要么放在 CI 最后一步（那时大家只想赶紧合并），要么放在上线前（那时改起来最贵）。放在 diff 上则刚好：改动小、上下文新、写代码的人还记得为什么这么写。
工作方式
- PR 创建或更新时触发扫描；
- 模型阅读 diff 与相关上下文，判断改动的安全影响；
- 有问题的位置留行级评论，附解释和修复补丁；
- 开发确认后一键应用，或标记为误报加入团队忽略清单。
值得关注的三类问题
- 密钥泄露：把 token、连接串写进配置或测试用例。
- 依赖风险：新增了存在已知漏洞或维护停滞的包。
- 逻辑越权：接口少了归属校验，属于人类评审最容易漏掉的一类。
适合谁用
团队已经在用 PR 流程、并且希望把安全成本左移的工程组织。对安全团队规模有限的公司，它能顶掉一部分日常巡检工作。
局限
它不是渗透测试的替代品。业务逻辑层面的复杂漏洞，仍需要结合真实攻击路径人工验证。把它当成”第一道过滤网”更合适。
